США

В США, в силу исторически сложившейся прецедентной системы права, не существует обязывающих норм для автопроизводителей и поставщиков компонентов. Однако, в случае происшествия, если при расследовании причин инцидента выяснится, что компания пренебрегала руководящими принципами, которые публикует NHTSA или рекомендациями стандарта ISO 21434, в разработке которого принимало участие и американское Сообщество автомобильных инженеров (SAE), то компании могут грозить существенные штрафы и иные санкции.

При этом органы государственного управления США уделяют значительное внимание и вопросам регулирования кибербезопасности отрасли. NHTSA (Национальное управление безопасностью движения на трассах) в 2022 г. опубликовало обновленные рекомендации по кибербезопасности для новых транспортных средств. Этот документ не обладает обязывающей силой и не носит императивный характер.

Его цель – сформулировать ключевые принципы, подчеркнуть актуальность тематики и необходимость работы по снижению рисков.

Актуальная версия 2022 года (изначально документ был опубликован в 2016 году) учитывает новые отраслевые стандарты и исследования и включает знания, полученные в результате реальных инцидентов. NHTSA рекомендует многоуровневый подход к кибербезопасности, основанный на пяти основных функциях Системы кибербезопасности Национального института стандартов и технологий США (NIST): «Идентификация, защита, обнаружение, реагирование и восстановление». Документ включает в себя описание того, как должна реализовываться оценка рисков, хранение данных, постоянный мониторинг инцидентов и уязвимостей (VSOC). Предписания касаются как автопроизводителей, так и производителей оборудования, в том числе и того, которое пользователи сами могут устанавливать на свои автомобили.

Обновленные руководящие принципы подчеркивают связь между кибербезопасностью и физической безопасностью (cyber security & functional safety), давая понять, что по мере того, как в автомобильную промышленность проникают инновации, инженеры должны также учитывать способность злоумышленников манипулировать компонентами и данными.

Последняя рекомендация NHTSA основана на стандарте ISO 21434 в части, касающейся описания необходимых процессов в ходе разработки. Однако также очевидно влияние и Правил ЕЭК ООН 155, от которых был заимствован практический подход с погружение в некоторые конкретные примеры атак и механизмов защиты от них.